Un fallo en tl;dv dejó 181.874 reuniones grabadas al alcance de cualquiera, y hasta permitía colarse en videollamadas en directo

Una sola regla de seguridad ausente convirtió a tl;dv —un popular asistente que graba, transcribe y resume reuniones de Zoom, Google Meet y Teams, usado por más de dos millones de personas— en un índice consultable de las videollamadas ajenas. El investigador de seguridad conocido como BobDaHacker reveló a comienzos de agosto que la base de datos de la herramienta dejaba a la vista 181.874 grabaciones de reuniones pertenecientes a 84.312 usuarios de 35.003 dominios, y que alrededor de un millar de esas reuniones estaban, en cada momento, grabando en directo, de modo que sus enlaces eran puertas abiertas a llamadas en curso a las que un desconocido podía sumarse sin invitación.

Qué falló exactamente

El problema no fue un ataque sofisticado, ni malware, ni un fallo de la nube de Google. Fue una configuración. La herramienta se apoya en una base de datos en la que lo único que separa los datos de un cliente de los de otro es un conjunto de reglas de acceso. En la colección que guardaba las reuniones faltaba la regla de "aislamiento entre inquilinos", así que cualquier usuario con una cuenta normal podía obtener un token de autenticación y consultar las grabaciones de todos los demás. Los datos expuestos incluían el correo del creador de la reunión, la plataforma, las marcas de tiempo, el estado de grabación y un identificador de conferencia que servía para entrar en la sala real de Meet o Teams. El investigador afirma haberse colado en un par de llamadas usando esos identificadores.

Una cronología incómoda

Lo más grave es el tiempo. Según su relato, comunicó el fallo a la empresa el 28 de enero de 2026 y no obtuvo respuesta del responsable técnico; medios especializados informaron a principios de agosto de que la exposición seguía activa. La compañía ha reconocido después el fallo y sostiene que lo corrigió, aunque atribuye parte de las grabaciones públicas a los ajustes de compartición de los propios usuarios. Seis meses entre el aviso y la corrección es una eternidad para un agujero de este tipo.

La lección, más allá de una app

Aquí está lo aprovechable, y va más allá de tl;dv. Un tomador de notas con IA se sienta, por definición, en tus conversaciones más sensibles: entrevistas de trabajo, revisiones de desempeño, negociaciones con clientes, reuniones de estrategia. Ese acceso es todo el valor del producto y, a la vez, todo el riesgo. La comodidad de que una IA en la nube grabe y resuma tus llamadas tiene una cara B: confías datos críticos a la configuración de seguridad de un tercero, que no puedes auditar. Para una empresa, las preguntas prácticas son concretas: qué asistentes de IA tienes conectados a tus reuniones, qué permisos les has dado, y si esa información justifica el riesgo. Conviene revisar y retirar integraciones innecesarias, tratar como potencialmente expuesta la información de reuniones pasadas y valorar alternativas que procesen la transcripción en local, sin enviar nada a un servidor ajeno. La misma cautela vale para cualquier agente o extensión con acceso a tus datos: la pregunta no es qué sabe hacer, sino a qué llega y quién más puede llegar por la misma puerta.

GonzaloFundador

Madrileño enganchado a la tecnología desde pequeño. Trabajo en finanzas pero la inteligencia artificial es lo que me quita el sueño. Creé Miuranews para seguirla de cerca y contarla en español sin hype.

Todos sus artículos →